梭子鱼（Barracuda）官方更新安全预警，确认 CVE-2026-116606 和 CVE-2026-111560 这两个高危漏洞已经出现真实在野攻击，攻击者只要能够访问设备管理后台界面，就可以把两个漏洞串起来利用，不用账号密码，直接拿到邮件安全网关 ESG 的 root 最高权限，能读取全部邮件流量、窃取配置凭证、植入后门，还能作为跳板横向渗透内网，这两个漏洞最早在 11 月 2 日由厂商披露并放出固件补丁，之后安全团队 watchTowr 放出完整利用链和 POC 代码，短短一周之后就监测到真实攻击案例，目前受害企业数量不多，但利用代码已经公开，扩散风险很高；如果你是运维人员，优先要做的第一件事是把 ESG 管理 UI 从公网下线，只放内网可信地址访问，再核对固件版本、打上官方补丁，打完补丁之后还要做日志狩猎，检查有没有陌生命令执行、异常管理员登录，综合来看，这属于组合漏洞攻击，单一个漏洞危害有限，两个配合就形成无认证远程 root 利用链，暴露在公网的管理页面风险最高。
漏洞基础信息清单
- 漏洞组合：CVE-2026-116606（授权绕过，CVSS 9.3）+ CVE-2026-111560（命令注入，CVSS 8.6）
- 影响主产品：Barracuda Email Security Gateway（ESG 邮件安全网关）
- 其他附带受影响产品：ADC 负载均衡、消息归档 BMA、WAF、Web 安全网关 WSG
- 利用前提：攻击者能够访问设备 Admin 管理界面
- 攻击效果：未认证，命令以 root 权限执行，完全接管设备
- 时间线：11 月 2 日厂商发公告 + 补丁；11 月 5 日公开 POC；11 月 9 日厂商确认发现在野利用
- 修复基线：ESG 固件升级至 9.4.0.030 及以上版本
两个漏洞分工说明表
| 漏洞编号 | 漏洞类型 | 作用 |
|---|---|---|
| CVE-2026-116606 | 授权绕过 | 绕过登录校验，访问后台受限配置接口 |
| CVE-2026-111560 | 时区字段命令注入 | 拿到权限入口之后，注入系统命令，以 root 执行 |
应急处置操作步骤
- 网络隔离：防火墙 ACL 限制管理后台，禁止公网直接访问，仅可信运维网段放行
- 版本核查：登录梭子鱼后台确认固件，低于 9.4.0.030 立即升级官方补丁包
- 日志排查：检索系统日志、审计日志，查找异常请求、未知命令、陌生 IP 访问后台
- 恶意痕迹清理：检查是否新增后门账号、异常定时任务、陌生脚本
- 持续监控：在 IDS/EDR 添加对应 POC 请求特征，持续告警拦截
【常见问题】
问题 1：梭子鱼确认邮件网关漏洞遭在野利用，是哪两个漏洞组合拿到 root 权限？
回答 1：梭子鱼确认邮件网关漏洞遭在野利用，由 CVE-2026-116606 授权绕过搭配 CVE-2026-111560 命令注入链式利用，实现未授权获取 root 权限。
问题 2：梭子鱼确认邮件网关漏洞遭在野利用，攻击者是不是只要公网能扫到设备就能攻击？
回答 2：不是，梭子鱼确认邮件网关漏洞遭在野利用，前提是攻击者能够访问设备的管理 UI 界面，如果管理后台没有暴露在公网，攻击难度会大幅提升。
问题 3：梭子鱼确认邮件网关漏洞遭在野利用，ESG 邮件网关安全版本是哪个？
回答 3：梭子鱼确认邮件网关漏洞遭在野利用，ESG 邮件网关需要升级到 9.4.0.030 或者更高固件版本来封堵这条利用链。
问题 4：梭子鱼确认邮件网关漏洞遭在野利用，漏洞被公开之后多久出现真实攻击？
回答 4：梭子鱼确认邮件网关漏洞遭在野利用，漏洞 11 月 2 日披露、5 号放出 POC，厂商在 11 月 9 日确认已经监测到在野攻击活动。
【参考资料】
[2026-11-10]（Hackers now exploit critical Barracuda ESG flaws to gain root access）BleepingComputer
[2026-11-10]（Barracuda Confirms Active Exploitation of Email Gateway Flaws Allowing Unauthenticated Root Access）Cyber Security News
[2026-11-11]（梭子鱼确认邮件网关漏洞遭在野利用，可未授权获取 root 权限）FreeBuf
[2026-11-09]（Barracuda ESG Pre-Auth RCE: The Root Chain）Brandefense
[2026-11-02]（AV26-1112 Barracuda Networks Security Advisory）加拿大网络安全中心
【免责声明】
梭子鱼邮件网关漏洞链存在公开 POC，攻击门槛较低，本资讯仅做漏洞情报与处置方案整理；补丁升级、内网排查操作需要由持证运维人员执行，漏洞检测和处置结果以厂商官方公告、设备审计日志为准，不构成入侵检测、应急响应的直接判定依据。